Gemeinsame Verantwortlichkeit nach DSGVO bei Kooperationen mit Freelancern

Wer haftet eigentlich, wenn du und ein befreundeter Webentwickler dieselbe Kundenliste in der Hand habt, du, er oder ihr beide zusammen? Diese Frage hat mich länger beschäftigt, als mir lieb war, gerade als freiberufliche Texterin, die ihre allererste eigene Website erst vor Kurzem aufgesetzt hat. Zwischen Website-Baustelle, den ersten Kooperationsanfragen und dem Versuch, mich nicht komplett im Datenschutz-Dschungel zu verlaufen, bin ich auf einen Denkfehler gestoßen, der bei Solopreneurinnen und Freelancern erstaunlich hartnäckig hält: Man glaubt, gemeinsame Verantwortlichkeit nach DSGVO sei etwas für Konzerne mit eigener Rechtsabteilung -- nicht für zwei Menschen, die sich ein Freelancer-Kooperationsprojekt teilen.

Bevor es weitergeht, kurz der Pflichthinweis: In diesem Beitrag stecken Affiliate-Links, und wenn du darüber etwas kaufst, bekomme ich eine kleine Provision, ohne dass sich dein Preis ändert. Empfehlen tue ich nur, was ich auf meiner eigenen Leipziger Website-Baustelle seit 2024 selbst ausprobiert habe. Eine juristische Ausbildung habe ich nicht -- das hier ist mein Erfahrungsbericht als Solopreneurin, keine Rechtsberatung, und bei einer echten Abmahnung solltest du dich an eine Fachperson wenden.

Reicht ein AV-Vertrag, wenn zwei Freelancer zusammenarbeiten?

Manfred hat mir vor Kurzem geschrieben, kurz und ungeduldig wie fast immer: Er arbeite gerade mit einer befreundeten Illustratorin an einem gemeinsamen Kursangebot, und beide hätten einen Auftragsverarbeitungsvertrag unterschrieben -- ob das reicht? Genau diese Verwechslung sehe ich ständig, und sie ist nachvollziehbar, weil beide Begriffe nach ähnlicher Bürokratie klingen.

Ein Auftragsverarbeitungsvertrag passt, wenn eine Seite im Auftrag der anderen Daten verarbeitet und nur ausführt, was vorgegeben wird. Bei einer echten Kooperation entscheidet ihr dagegen oft gemeinsam, wozu und wie ihr die Kundendaten nutzt, und genau das macht euch laut DSGVO Artikel 26 zu gemeinsam Verantwortlichen statt zu Auftragsverarbeitern. Für Freiberufler, die sich spontan zu einem Projekt zusammentun, ist das selten das Erste, woran sie denken.

Der Denkfehler, der mich fast erwischt hätte

Bei meinem ersten großen Kooperationsprojekt mit einem befreundeten Webentwickler hielt ich ein gemeinsames Dropbox-Abo und ein geteiltes Passwort für die ganze Lösung. Zack, fertig, dachte ich -- dabei hatten wir nie besprochen, wer im Ernstfall haftet, wenn Daten verloren gehen oder für etwas anderes genutzt werden, als wofür sie gedacht waren.

Stundenlang hatte ich vorher DSGVO-Erklärvideos auf YouTube geschaut, eins nach dem anderen, und am Ende trotzdem nichts davon in einen echten Vertrag gegossen -- die Videos gaben mir ein Gefühl von Wissen, ohne dass sich an unserer Kooperation etwas geändert hätte.

An einem Abend saß ich in der Stadtbibliothek Leipzig am Wilhelm-Leuschner-Platz, das Bildschirmlicht meines Laptops fast das Einzige, was in der beginnenden Dämmerung noch etwas heraushob, den Cursor über einem Absatz mit Paragraphenzeichen hängend, und merkte, dass ich immer noch nicht sagen konnte, wer bei uns eigentlich wofür geradesteht. Renée, eine Grafikdesignerin aus Hamburg, mit der ich mich seit einer DSGVO-Facebook-Gruppe austausche, hatte mir kurz vorher geschrieben, sie traue kostenlosen Vorlagen für sowas grundsätzlich nicht -- und je länger ich in der Bibliothek saß, desto mehr gab ich ihr recht.

Was mir an diesem Abend weitergeholfen hat, war kein Video mehr, sondern eine Vorlage, die für genau solche Kooperationen gedacht ist: Ich bin über den DSGVO Schritt-für-Schritt Generator gestolpert und habe dort zum ersten Mal eine Struktur gefunden, die nicht nur Zustimmung abfragt, sondern konkret klärt, wer welche Aufgabe in der Zusammenarbeit übernimmt.

Gemeinsame Verantwortlichkeit ist kein Konzept nur für große Firmen

Verschlüsselte Übertragung und ein SSL-Zertifikat sorgen dafür, dass Daten unterwegs sicher sind, aber sie klären nicht, wer rechtlich für die Entscheidungen dahinter geradesteht. Genau diese Lücke übersehen viele Solopreneurinnen, weil gemeinsame Verantwortlichkeit in ihrem Kopf nach Konzern-Bürokratie klingt und nicht nach zwei Menschen, die sich ein Kundenprojekt teilen.

Als ich Manfred zurückschrieb, wollte er die Essenz in einem Satz, kein Kleingedrucktes: Sobald zwei Parteien gemeinsam über Zweck und Mittel der Datenverarbeitung entscheiden, reicht die übliche Auftragsverarbeitungs-Regelung nicht mehr, egal wie klein das Projekt ist. Genau dieser eine Satz war für ihn nach eigener Aussage mehr wert als jede lange Erklärung.

Für die konkrete Umsetzung nutze ich seit einer Weile easyRechtssicher, ein Tool, das seit über acht Jahren am Markt ist und mit einer Refund-Rate von 2,72 Prozent auffällig wenige Nutzerinnen enttäuscht zurücklässt. Mit einem Marktanteil von rund 13 Prozent ist es kein Geheimtipp mehr, sondern eher die pragmatische Wahl für Leute, die Vorlagen wollen, die bei Gesetzesänderungen mitgepflegt werden -- gerade bei einem Thema wie gemeinsamer Verantwortlichkeit, wo Kooperationsverträge sonst schnell veralten.

So kläre ich heute, wer wofür geradesteht

Bevor ich heute eine Kooperation zusage, stelle ich mir eine einzige Frage: Entscheiden wir gemeinsam, wozu die Daten da sind und wie wir sie verarbeiten, oder führt eine Seite nur aus, was die andere vorgibt? Im ersten Fall brauche ich eine schriftliche Vereinbarung zur gemeinsamen Verantwortlichkeit, im zweiten reicht die klassische Auftragsverarbeitungs-Regelung, die ich für reine Dienstleistungen sowieso schon habe.

Diese Art von Vorab-Prüfung fühlt sich ähnlich an wie damals, als ich meinen Domain-Namen rechtlich geprüft habe: eine lästige halbe Stunde, die spätere Nächte voller Sorge erspart.

Wichtig ist dabei weniger der Name des Dokuments als die Frage, ob beide Seiten dort wirklich festhalten, was passiert, wenn ein Kunde Auskunft verlangt oder eine Löschung fordert -- wer antwortet, und wer die Sache am Ende zu Ende bringt.

Was an diesem Mythos wirklich gefährlich ist

Der Denkfehler entsteht nicht aus Unehrlichkeit -- die meisten Freelancer, die ich kenne, wollen es einfach richtig machen und wissen nur nicht, wo die Grenze zwischen Auftragsverarbeitung und gemeinsamer Verantwortlichkeit verläuft. Gefährlich wird es erst, wenn diese Unsicherheit dazu führt, dass am Ende gar keine Vereinbarung existiert, weder die eine noch die andere.

Falls du gerade vor deiner ersten Kooperation stehst, würde ich mit einer klaren Vorlage anfangen statt mit einem stundenlangen Video-Marathon -- der DSGVO Schritt-für-Schritt Generator war für mich der Punkt, an dem aus vagem Wissen endlich ein unterschriebenes Dokument wurde.

Hast du bei einer Kooperation schon mal angenommen, ein Standard-Dokument reiche automatisch, und erst später gemerkt, dass es das falsche war? Schreib mir gern davon -- ich sammle diese Geschichten, weil sich derselbe Denkfehler auffällig oft wiederholt.